CVE-2026-119757: Credenziali LND esposte in BTCPay

Il CVE-2026-119757 identifica una vulnerability di divulgazione dati in BTCPay Server, il processore di pagamenti Bitcoin self-hosted. La falla permette ad attaccanti non autenticati di accedere e scaricare i file di credenziali .macaroon utilizzati dal nodo Lightning Network Daemon (LND). I sistemi colpiti includono tutte le istanze di BTCPay Server con versione antecedente alla 2.4.2, inclusi i release candidate della 2.4.2 stessa.

Il CVSS della vulnerabilità è 9,8, assegnato come critical dalla comunità. La divulgazione delle credenziali macaroon consente agli attaccanti di acquisire il pieno controllo del nodo LND connesso, inclusa la capacità di movimentare i fondi in modo non autorizzato. La falla è stata pubblicata ufficialmente da NVD il 5 novembre 2026 ed è già oggetto di discussione nelle comunità di sicurezza, con segnali di elevata consapevolezza nei canali tecnici.

Per gli amministratori e i team IT: verificare immediatamente la versione di BTCPay Server in uso. Se è antecedente alla 2.4.2, aggiornare senza ritardo al rilascio corretto della versione 2.4.2. È consigliabile controllare i log del nodo LND e dei sistemi circostanti per rilevare accessi non autorizzati nel periodo precedente all'aggiornamento. Se il nodo LND è già stato esposto, valutare di rigenerare le credenziali macaroon e di auditare le transazioni avvenute durante la finestra di esposizione.